Dal Fronte · 2026-09-25
Passkey: come funzionano e perché ostacolano il phishing
di La redazione
Entrare in un servizio online senza digitare una password non significa rinunciare alla sicurezza. È il principio delle passkey, una tecnologia disponibile su numerosi dispositivi e piattaforme che cambia il modo di dimostrare la propria identità. Il vantaggio principale non è soltanto la comodità: è rendere molto più difficile il furto delle credenziali attraverso un sito contraffatto.
Il funzionamento si basa su una coppia di chiavi crittografiche. Il servizio conserva quella pubblica; quella privata rimane protetta nell’autenticatore, per esempio un dispositivo o un gestore di credenziali. Durante l’accesso, il sistema produce una prova crittografica senza trasmettere la chiave privata al sito. L’utente autorizza l’operazione con lo sblocco previsto dal dispositivo, come impronta digitale, riconoscimento del volto o PIN.
La caratteristica decisiva è il legame con il servizio autentico. Una pagina truffaldina può copiare grafica, marchio e pulsanti di una banca, ma non può ottenere una prova valida per il dominio della banca attraverso la normale autenticazione con passkey. È una differenza importante rispetto alle password e ai codici temporanei, che una vittima può essere indotta a inserire nella pagina sbagliata.
Anche i dati biometrici, quando utilizzati, servono allo sblocco locale: non vengono consegnati al sito per effettuare l’accesso. Le implementazioni possono però essere diverse. Alcune passkey sono sincronizzate fra dispositivi tramite un gestore, altre restano legate a uno specifico autenticatore, come una chiave di sicurezza fisica.
Nessuna soluzione elimina ogni rischio. Un dispositivo compromesso, una sessione già sottratta o procedure di recupero deboli possono ancora esporre l’account. Prima di cambiare metodo di accesso occorre quindi verificare come rientrare nel servizio se si perde il telefono e quali alternative sono disponibili.
Per cittadini e imprese italiane, l’indicazione pratica è attivare le passkey dove supportate, mantenere aggiornati i dispositivi e proteggere anche gli account che ne consentono la sincronizzazione. La sicurezza digitale nazionale passa anche da qui: strumenti robusti, procedure comprensibili e meno occasioni offerte ai truffatori.